Showing posts with label Sosyal mühendislik. Show all posts
Showing posts with label Sosyal mühendislik. Show all posts

Thursday, August 13, 2015

Sosyal Medya'da Aldatılıyor Musunuz?

Her zamanki gibi…
O: Ne iş yapıyorsun?
Ben: “Hacker’ım”
O: (şüpheci) “Hacker?”
Ben: Şirketlerin siber güvenlik seviyelerini arttırmalarını sağlamak için hackerlar tarafından kullanılan araç ve teknikleri kullanarak sistemlerine sızıp, nasıl sızdığımı raporlayarak önlem almalarını sağlıyorum”
O: (benim son cümlemi zerre dinlemediği belli olurken) benim de bir arkadaşın Facebook’u…
O “arkadaş” çoğu zaman karşı cinsten olup, süren veya yakın zamanda bitmiş bir gönül ilişkisinin diğer paydaşı oluyor. Buna benzer talepler mail yoluyla doğrudan da geliyor “Hocam merhaba, eski erkek/kız arkadaşımın maili/Facebook’u…”




Taleplerin yasadışı olmasına karşılık insanların “aldatılıyor muyum?” sorusunu kendilerine sorması da gayet doğaldır. Bu nedenle, şimdiye kadar incelediğim bazı vakalardan yola çıkarak aşağıdaki ipuçlarını derledim.
Sosyal medya üzerinden yaşanan ilişkilerin önemli bir kısmının “gerçek” hayata yansımadığını görüyoruz. İnsanların bu ortamda daha rahat davranmalarının ise bazı bilimsek nedenleri var:

E-posta gibi değil
E-posta mesajlarını yazarsınız… gönderirsiniz… karşı taraf okur… cevap verir… sonuçta bu, ideal bir sohbet ortamından çok uzaktır. Ancak sosyal medya platformlarının sunduğu anında mesajlaşma ortamları yazışmaların gerçek zamanlı olarak ve karşılıklı yapılmasına imkan veriyor. Bu sayede, örneğin e-posta yazışmalarında, mesajlar arasında geçen sürede, duygular etkilerini ve yoğunluklarını kaybederken, anında mesajlaşma duyguların gerçek iletişimlerde olduğu gibi yaşanmasına imkan veriyor. Birlikte güldüğünüz, birlikte üzüldüğünüz algısı anında mesajlaşma ile kurulan iletişim sırasında duyguların ortaya çıkmasına ve “yaşamasına” imkan veriyor.

Parmaklarınızın ucunda
Muhasebe bölümündeki hoş kızı/çocuğu düşünün. Gerçek hayatta flörtle uzaktan yakından alakası olan bir ortamın oluşması için kahve molasında, öğle tatilinde veya iş dışında, üstelik belli bir süre birlikte olmanız gerekecekti. Sosyal medya sayesindeyse gerek kedi videosuna yorum yaparak, gerek doğum gününü kutlayarak sürekli iletişim halinde kalabilirsiniz.

Klavye kahramanlığı
Gerçek hayatta birinin gözlerinin içine bakarak söyleyemeyeceğiniz kadar “cesurca”, hatta “ayıp” şeyleri klavye ve ekranın arkasında olmanın verdiği güven hissi sayesinde çekinmeden yazabiliyoruz.

Masum olduğunuz yanılgısı 
Sanal olması, gerçek hayatta bir yansıması olmaması sosyal medya üzerinden yaşanan ilişkilerin zararsız olduğu hissine kapılmamıza neden olabiliyor. Bu nedenle bazı sosyal medya “arkadaşlıklarını” aldatma olarak görmüyor ve devam ettiriyoruz.

Gizlilik yanılgısı
İki kişi arasındaki bir Facebook mesajının gizli olduğu varsayımı ile mesajlarımızı kimsenin göremeyeceğini varsayıyoruz. Hacker olarak çalıştığım yılların bana öğrettiği bir şey varsa o da, söz konusu internet olduğunda, gizliliğin sadece bir hayal olduğudur.

Tehlikeli bölgede olduğunuzu nasıl anlarsınız? (veya eşiniz sizi sosyal medya üzerinden aldatıyor mu?)
Yukarıda ele aldığımız nedenlerle ve insan psikolojisinin doğal bir sonucu olarak kendinizi bir sosyal medya ilişkisinin içinde bulabilirsiniz. Aşağıdaki maddeler sizin böyle bir ilişki içerisinde bulunup bulunmadığınızı anlamanızı sağlayacaktır. Bu maddeler aynı zamanda eş veya sevgilinizin de sosyal medya üzerinde bir ilişki yaşaması halinde gözlemlenebilecek davranışlardır. Bu noktada önemli bir uyarı yapma ihtiyacı duyuyorum, bu maddelerden birinin veya birkaçının size veya eşinize uyması KESİNLİKLE aldattığınız veya aldatıldığınız anlamına gelmez, aklımızı kullanalım, sakin olalım.
  1. Bu kişiyi eklerken içiniz rahat değildi 
    Tamam, tanıyorsunuz ama iş/okul dışında da ortak bir noktanız yok gibi. Arkadaşlık isteğini “ayıp olmasın” diye kabul etmek zorunda kaldınız. Hayal kurmayın, bu tedirginlik içgüdülerinizin “size asılacak” demesidir.
  2. Mesajlarınızı kontrol etmek bir dürtü haline geldi
    “Acaba bir şey yazdı mı?” sorusu sürekli aklınızda ve siz fark etmeden bile eliniz telefona gidiyor ve mesajlarınızı kontrol ediyorsunuz.
  3. Bilgisayarın başından kalkmak veya telefonunuzu elinizden bırakmak zorlaştı
    Mesaj programının önünüzde açık olmadığı dakikalar size saat gibi gelmeye başladı. Telefon adeta elinizin bir uzantısı halini aldı. Evet, siz bu sosyal “arkadaşınıza” bir sosyal “arkadaşın” başka bir sosyal “arkadaşa” vermesi gerekenden çok daha fazla değer veriyorsunuz demektir.
  4. Eşiniz/sevgiliniz odaya girdiğinde boş masaüstüne bakıyorsunuz
    İtiraf vakti; yaklaştığını duydunuz ve tam odaya girmeden mesajları yazdığınız ekranı kapattınız. Karşınızda ya boş masaüstü kaldı, ya da alt tarafta açık olduğunu bile unuttuğunuz bir sayfanın en anlamsız bölümü.
  5. Sosyal medya “arkadaşınıza” eşinize karşı olduğunuzdan çok daha açıksınız, daha çok konuda ve size daha anlamlı gelen paylaşımlarınız var
    Müdürünüzle konuştuklarınızı, trafiği, arkadaşlarınızla aranızda geçenleri eşinizden/sevgilinizden önce sosyal medya “arkadaşınıza” anlatıyorsunuz. Öyle ki, bazı günler aynı şeyi ikinci kez anlatamayacak kadar yorgun olduğunuz veya içinizden gelmediği için eşiniz/sevgilinizle paylaşmıyorsunuz bile.
  6. Telefonunuzun tuş kilidini açmak matematik problemi çözmekten daha zor
    Tuvaletteyken, yemek yaparken veya uyurken bir şekilde telefonunuzun “ortada kalması” halinde eşinizin okumasını istemediğiniz mesajların da yoğunluğuna bağlı olarak parolanızı veya kilit şeklinizi değiştirdiniz/zorlaştırdınız.
  7. Yüz yüze görüşme fikri size sıcak gelmeye başladı
    Sadece yazmak size yetmemeye başladı, gerçek hayatta görüşmek ve paylaşımlarınızı orada da sürdürmek istiyorsunuz. Kendinize bile itiraf edemeseniz de; sosyal medya “arkadaşınızı” resmen özlüyorsunuz.
  8. Sosyal medya “arkadaşınızın” sizinle yazışmadığı zamanlarda neler yaptığını düşünmeye başladınız
    Lisedeki gibi; kendinize “acaba şimdi ne yapıyor?”, “acaba o da beni düşünüyor mudur?” benzeri naif sorular sormaya başladınız. Dalgınsınız, eşinizin/sevgilinizin söylediklerinin yarısını dinliyorsunuz, aklınızın bir köşesinde hep sosyal medya “arkadaşınız” var.
  9. Sosyal medya “arkadaşınızla” diğer arkadaşlarınızla veya ailenizle geçirdiğinizden daha fazla süre geçirmeye başladınız
    Akşam yemeğinizi yediniz normalde televizyon seyredecekken elinize telefonunuzu alıp “arkadaşınızla” yazışmaya başladınız. İştekilerle öğle yemeğine gittiniz, onlarla sohbet etmek yerine telefonunuz elinizde “arkadaşınızla” yazışıyorsunuz. Evet, fiziksel olarak aileniz veya arkadaşlarınızla olabilirsiniz ama zamanınızı onlarla değil, “arkadaşınızla” geçiriyorsunuz.
  10. Siz veya “arkadaşınız” birbirinize karşı olan duygularınızı açıkça yazmaya başladınız
    “Seni seviyorum” da yazılmış olabilir, “biliyor musun seninle aynı katta çalışırken sana hayrandım” gibi daha masum ve kaçış planı hazır (örn. ama şimdi Deniz’le çok mutluyum, o benim herşeyim, önümüzdeki ay Paris’te evleniyoruz) bir cümle de. Hangisi olursa olsun, duygular artık açıkça yazılmaya başlandı.
  11. Sosyal medya arkadaşınız size eşiniz veya sevgilinizden daha çekici gelmeye başladı
    Gerçekten açıklamaya gerek var mı?
  12. İkinizden biri “sence de çok hızlı gitmiyor muyuz?”, “daha önce böyle bir şey yapmamıştım”, “bu yazdıklarıma ben bile inanamıyorum”, “anlatsam inanmazlar”, “sanki bunları yazan başkası” gibi cümleler kuruyorsanız
    Evet, bunları yazan siz değilsiniz, sağduyunuz. İçgüdüsel olarak bir şeylerin ters gittiğinin farkındasınız ve karşı taraftan vicdanınızı rahatlatacak şeyler duymaya ihtiyacınız var. Bu cümlelerin ayrıca karşı tarafın kendini özel hissetmesini sağlarken sizin de olası bir kaçış planınızın temelini oluşturma gibi işimize çok yarayan özelliklerinin olduğunu hepimiz biliyoruz.


Monday, January 19, 2015

Emre bir gönderide etiketlendi

Facebook saldırganlar tarafından sıkça kullanılan bir saldırı vektörüdür. Dünyanın her yerinde yüz milyonlarca kişinin “paylaşım” yaptığı bir ortam herkes için iştah açıcı olacaktır.
Profesyonel merak da diyebilirsiniz, yersiz risk almak da ama “tamam, tıklamayayım ama tıklarsam ne olur?” diyerek bu tuzaklardan birine atladım.


 Hollywood filmlerinde olduğu gibi saldırganın bakış açısından bir senaryo dahilinde ele alırsak “operasyon” şöyle gerçekleşiyor.

Yazının konusu olmadığı için tuzağın nasıl kurulduğunu ele almayacağım, sadece benim gördüğüm haliyle ekran görüntüsünü paylaşacağım.

Adım 1: Olta 
Arkadaşım Emre bir gönderide etiketlenmiş. Gönderiye konu fotoğrafın “kompozisyonu” erkek Facebook kullanıcılarının dikkatini çekebilecek şekilde hazırlanmış.





Adım 2: Kapan
Emre’nin gömlek düğmelerini iliklemeyi unutmuş bu ablanın olduğu videoda ne gibi bir rolü olabileceğini merak ettiğim için tıklıyorum ve aşağıdaki ekrana geliyorum.




Bu ekranda bir kaç nokta dikkatimizi çekiyor: 
Artık Facebook’ta değilim. Facebook gibi görünen bu site aslında www(.)videotr(.)me (DİKKAT: ziyaret etmeyin) sitesi.
Videotr(.)me sitesinin sahibine ulaşmak için birkaç sorgu yapıyorum ancak alanadı sahibi bilgileri gizli. Bu sitenin nasıl bir ekosistemin parçası olduğunu anlamak için Bing arama motorunun bir özelliğini kullanıyorum. Bing arama motoru üzerinde “ip:” operatörü ile yapılan aramaların sonucunda aynı IP adresinden yayın yapan ve Bing tarafından endekslenen siteleri bulabiliyoruz.
Göreceğiniz üzere bazı “ilginç” alanadları da aynı IP adresini ve büyük ihtimalle aynı hosting şirketini kullanıyor.


Burada dikkatimizi en çok çekenler;
Cotton-panty: erotik site.
Alfasro: Site başlığı Silkroad sunucusu olduğunu söylüyor. Silkroad "derin internet" olarak da bilinen internetin karanlık tarafında uyuşturucu, silah ve çocuk pornosu gibi konularda ticaret yapmak için kullanılan bir ortamdır. Bu sunucu gerçekten bu sistemin bir parçası mı? yoksa "derin internet" konusunda meraklı birkaç kurban bulmak için mi hazırlanmış emin olamadım. 
Düzeltme: Bildirdiği güvenlik zafiyetleri ile Yandex şeref listesine (Yandex Hall of Fame https://yandex.com/bugbounty/hall-of-fame/2014/11/) giren Gökmen Güreşçi'den gelen bilgi üzerine: Silkroad diye bir oyun varmış, onunla ilgili bir sunucu olabilirmiş. Gökmen Güreşçi'ye teşekkür ederim. 
Candyhile: Popüler Candy Crush oyununa hileleri yayınladığını iddia ediyor.
Kurtalankilim: Anadolu kaplanı sitesi gibi duruyor. Bunların arasında ne işi var anlam veremedim. Ucuz hosting bulmanın verdiği mutlulukla acaba komşularını çok sorgulamadan şirket sitesini buraya mı taşımış?
Taşıdıkları risk nedeniyle sitelerin hiç birini ziyaret etmedim, sizin de ziyaret etmenizi önermem.

Adım 3: Saldırı
Yönlendirildiğim sahte Facebook ekranında tamamı düğmesini tıkladığımda, aşağıda görüldüğü gibi bir yazılım bilgisayarıma iniyor.


Tersine mühendislik ve zararlı yazılım analizi konusunda bir iddiam yok, o işi Mert Sarıca ve Emre Tınaztepe uzmanlara bırakıyorum, bu konuya ilginiz varsa her ikisini de takip etmenizi öneririm. Bu nedenle bunun ne olduğunu analiz etmek için internette ücretsiz olarak bu işi yapan siteleri kullanıyorum. 

İlk test olarak indirilen yazılımı VirusTotal sitesine yükledim. Sonuç aşağıdaki gibi oldu;


Virustotal’de çalışan toplam 56 antivirüs yazılımı arasında sadece 17 tanesi bu zararlıyı tespit edebildi. Bilgisayarınızda güncel ve lisanslı bir antivirüs yazılımı olmasının neden önemli olduğuna dair önemli bir göstergedir. Bu zararlıyı tespit edemeyen 39 antivirüsten birini kullanmanız durumda faydası olmayacağını unutmamak lazım. Antivirüs kullanacağız ama sağduyumuzu da elden bırakmayacağız. 

Bu zararlı yazılımın tam olarak ne yaptığı konusunda da kabaca bir fikir sahibi olmak dosyayı bir de Malwr sitesine yükledim.
Aşağıdaki ekranlarda görülüğü üzere zararlı yazılım klavye ve fare hareketlerini kaydediyormuş.



Adım 4: Parayı kazanmak
Kurbanların kullanıcı bilgileri (sitelerde ve uygulamalarda kullandığınız kullanıcı adı ve parola bilgileri) ve kredi kartı bilgileri saldırgana iletiliyor.

Güncelleme: Bu yazıyı yayınladıktan 1-2 saat sonra aynı "gönderide" çok farklı bir arkadaş çevremden birinin daha etiketlendiğini gördüm. Bu zararlı yazılımın hızla yayıldığına bir kanıt oluşturabilir. Bir diğer yandan da son gönderide etiketlenenlerden birinin çalıştığı kurumu görünce, bu zararlı yazılımın şirket veya kurum içerisinde Facebook kullanımına izin veren yerlerde de görülebileceğini ve devlet sırrı / ticari sır kaybına neden olabileceğinden şüphelenmeye başladım (kurum adına dikkatinizi çekerim).


Facebook gibi sosyal medya araçlarının kullanımında “uyanık” olmak gerektiğine dair güzel bir örnek oluşturan bu saldırı konusunda çevremizdekileri ve özellikle çocuklarımızı bilgilendirmek önemlidir. 

Friday, December 12, 2014

Zhang Yun ile Tanışın

“Bilgi güvenliği konusunda bir süre çalışınca bir miktar düşman ediniyorsunuz”. İddialı bir cümle oldu ama bu sene bana karşı yapılan “oltalama” (phishing veya bu durumda spear phishing) saldırılarının sayısında bir artış görüyorum. Gördüğüm kadarıyla bu saldırılar sadece beni değil, Türk ve Amerikalı bazı meslektaşlarımı da hedef alıyor.




En son karşılaştığım örneği paylaşıyorum. Bu kişiler sizleri de hedef alabileceğinden dikkatli olmakta ve bazı önemli noktaları göz önünde tutmakta fayda var. 

LinkedIn’den gelen bağlantı davetini gönderen profilin bilgileri aşağıdaki gibidir;




Dr. Zhang Yun
Vice Chairman/President/Exec Dir at Agricultural Bank of China Ltd
Experience: Vice Chairman/President/Exec Dir at Agricultural Bank of China Ltd
January 2009 - Present (6 years)
Languages: English
Skills & Expertise: Administrative Law, Non-profit Volunteering
Education: University of Leeds
Bachelor of Business Administration (B.B.A.), Business/Managerial Economics, 1977 - 1981
 Activities and Societies: Leeds Debate Team

Toparlarsak, Zhang Yun Çin Ziraat Bankasının Yönetim Kurulu Başkanı ve bu görevi 6 yıldır yürütüyor. İngilizce biliyor, Leeds Üniversitesinde okumuş. Görüldüğü gibi, LinkedIn’de 500’den fazla da bağlantısı var.


 Bağlantılarından ikisi Zhang Yun’u da becerileri için onaylamış. 
Becerileri için onaylayan 2 ikişinin de Türk olması ve Zhang Yun ile tek ortak tanıdığımızın Türkiye’nin önde gelen adli bilişim uzmanlarından birisinin olması bu kişinin Türkiye özelinde bir çalışma yürüttüğü fikrine kapılmama neden oldu.

Sizlerin de anlamış olacağı üzere bu, sosyal paylaşım sitelerinde sıkça karşılaştığımız, sahte profillerden biridir.

Kimsenin günahını almamak adına yine de araştırmamı yapıyorum ve görüyorum ki gerçek Dr. Zhang Yun Wuhan Üniversitesinden mezun olmuştur. Profil resmi olarak kullanılan resmin  bir internet sitesinden alındığını da görüyorum.



 LinkedIn’de gerçek olabilecek profili ararken, aynı kişi hazırlanmış sahte bir profil daha buluyorum. Bu profilde de “becerileri onaylayan” bir Türk, bu da bu işin arkasında yerli bir dolandırıcının olduğu konusundaki hislerimi güçlendiriyor.

Aşağıdaki resim de "Yun Zhang" olarak hazırlanmış başka bir sahte profil görebilirsiniz. 


Sahte profilleri anlamınızı sağlayacak ve bu tür tuzaklara düşmemenizi sağlayabilecek bazı noktalar ise şunlardır;

  1. Sık karşılaşılabilecek bir isim kullanılmış
  2. Profil fotoğrafı net değil, ufak veya Google’da aratılınca çıkıyor
  3. Profil üzerindeki bilgilerin sadece gerekli olanları doldurulmuş (bu örnekte olduğu gibi iş ve okul)
  4. Çok az bağlantısı veya arkadaşı var.
  5. Facebook ve benzeri daha aktif kullanılan sosyal paylaşım sitelerinde ise;
  6. Profilin oluşturulma tarihine bakın, tarihin yeni olması tehlike işareti olabilir.
  7. Güncelleme sıklıklarına dikkat edin, genelde sahte profillerin güncellemelerinin seyrek olduğunu görüyoruz. 
  8. Arkadaşlarının yazdığı yorumlara dikkat edin. Profilin arkadaşlarıyla paylaşımlar azsa veya birlikte çekilmiş fotoğraf yoksa, bunlar sahte bir profile işaret olabilir. 
  9. Fotoğrafların az olması profilin sahte olduğuna dair bir işaret olabilir.  

Gerçekte tanımadığınız ve sizinle bağlantı kurmak isteyen biri hakkında bir miktar araştırma yapmak her zaman faydalı olacaktır. 







Tuesday, December 9, 2014

Linux sunucularda "Penquin" tehdidi

Daha önce Windows sürümü tespit edilen gelişmiş bir zararlının Linux sürümünün tespit edilmesi bir egemen devlet (ilk bulgular Rusya'yı işaret ediyor) tarafından yürütülen bir operasyonun su yüzüne çıkan kısmı olabilir. Windows sürümü ile 45'ten fazla ülkede yüzlerce Askeri ve Kamu sunucusuna erişen saldırganların bu sürümle saldırı yüzeyini daha da genişlettiklerini görüyoruz.

Sevimsiz bir Penguen: Linux için gelişmiş bir RAT (Remote Access Trojan - Truva Atı) "Penquin"


Sene başından beri bazı bileşenleri yakalanan ve “Turla” olarak adlandırılan gelişmiş bir zararlı yazılımın Linux sürümü gün yüzüne çıktı.

Daha önce 45 farklı ülkede (tabii ki listedeyiz) siber casusluk ve APT (Advanced Persistent Threat - Gelişmiş Sürekli Tehdit) saldırılarında kullanılan zararlı yazılımın şu ana kadar sadece Windows işletim sistemi ajanları yakalanmıştı.


Kaspersky tarafından Windows sürümü için hazırlanan infografik


32 ve 64 bit sürümleri de bulunan bu zararlı yazılımın kullanıldığı saldırılar aşağıdaki saldırı vektörleri kullanılarak gerçekleştirilmişti.

Oltalama saldırıları: “NATO’nun Suriye tutumu.src”, “Nota_N107-41D.pdf” veya “Sınır güvenlik protokolü.rar” gibi isimlerle önceden belirlenmiş kişilere gönderilen epostaların ekinde.
Zararlı yazılımın hedef kişilerin ilgisini çekecek web sayfaların içerisine gizlenmesi.
Daha “genel” sitelerde flash uygulaması güncellemesi olarak gösterilmesi.

Bu operasyon kapsamında şimdiye kadar tespit edilebilen ve saldırganlar tarafından zararlı yazılım dağıtmak için hazırlanan 100’e yakın site arasında 2 tanesi Türkçe’dir.

Şimdiye kadar yakalanan zararlı yazılım numuneleri CVE-2013-5065 (Windows XP ve 2003) ve CVE-2013-3346 (Adobe Reader) zafiyetlerini istismar ederek Windows işletim sistemini kullanan bilgisayarlarda arka kapı açıyordu. Arka kapıyı diğerlerinden ayıran en büyük özelliklerden birisi, aynı anda 2 farklı arka kapının açılması ve herhangi birinin kapanması halinde diğerinin onu tekrar açmasıdır.

Saldırın sonraki aşamaları ise genel olarak gördüğümüz “ölüm zinciri” döngüsüne uygun olarak yürüyor ve önemli kurumların (Kamu, Sağlık, Askeri ve Eğitim) verileri dışarıya sızdırılıyor.

Yeni yakalanan Linux sürümünün var olabileceği bir süredir tahmin ediliyordu ancak ilk defa geçtiğimiz günlerde gerçek bir numune ele geçirilebildi. Yapılan inceleme sonucunda yapı itibariyle Windows sistemleri hedef alan sürümüyle aynı bağlantı modelini kullandığı görülmüştür. Kaynak kod içerisinde gömülü olan “news-bbc.podzone(nokta)org” (Söylememe gerek yok ama ziyaret etmeyin) komuta sunucusu adresi ve “80.248.65.xx” ile başlayan DNS sunucusu bilgileri de Windows sürümlerindekilerle uyumludur.

Saldırganlar zararlıyı özel olarak hazırlanmış TCP ve UDP paketlerini kullanarak yönetiyor. Bulaştığı sunucuya gelen trafiği dinleyen zararlı yazılım TCP paketlerinde ACK bayrağı veya UDP paketlerin gövdesi içinde gönderilen talimatları bekliyor.

“Penquin” çoğu kurumda Linux işletim sistemi kullanan sunucuların internete bakması (web, mail, vb.) ve süregelen “Linux’larda virüs olmaz” yanılgısı nedeniyle, genelde savunmasız kaldığımız bir noktayı hedef almaktadır.

Zaralıyla ilgili lazım olabilecek bazı önemli bilgileri aşağıda paylaşıyorum, ağınızı ve özellikle internete bağlı Linux sunucularınızı kontrol etmenizde fayda var.

Yakalanan zararlı örneklerinin MD5 hashleri:
0994d9deb50352e76b0322f48ee576c6
14ecd5e6fc8e501037b54ca263896a11

zararlının bağlandığı kütüphaneler
glibc2.3.2
openssl v0.9.6
libpcap

Zararlının Windows sürümlerinde “Zagruzchik” adında bir DLL dosyası olduğu görülmüştür. Bu zararlının kaç sürümünün (unix? Solaris? Vb.) olduğunu bilmediğimiz için bu kelimeyi de sistem dosyaları içerisinde aramakta fayda olabilir.

Bu zararlı için kullanılan "Snake/Uroburos" platformunu dünyanın önde gelen antivirüs firmaları tarafından aşağıdaki isimlerle tanınmaktadır, tarama sonuçlarında bunlara dikkat etmekte fayda var.
F-secure: "Dropped:Backdoor.Generic.252173"
Kaspersky: "Trojan.Win32.Genome.hitb"
Symantec: "Backdoor.Pfinet"

Linux sunucularının temel güvenlik standartlarına uygun hale getirilmesinin ne kadar kritik olduğunu bu olayla bir kez daha görmüş olduk.


Thursday, May 1, 2014

Hack'e giden Hacklenir

Güvenlik araştırmacılarının yeni keşfettiği bir dolandırıcılık şebekesi Facebook kullanıcılarının arkadaşlarını hackleme isteklerini istismar ediyor. Para dolu bir fare kapanı gibi, içimizdeki merakı kullanan saldırganların 50.000 ile 100.000 arasında Facebbok hesabını bu yöntemle istismar ettikleri düşünülüyor.

Facebook'ta kurulan tuzaklar (temsili)

Bilgi güvenliği konularından bir miktar yol almaya başladığımdan beri haftada en az bir kez karşılaştığım sorudur; “facebook hackleyebilir misin?”. Bu soruyu soranlar genellikle tanıdıkları birilerinin hesaplarını hacklemenin eğlenceli olacağını düşünüyorlar.



“Facebook Hacking – Sadece eğitim amaçlıdır” şeklinde tanıtılan videoda arkadaşlarınızın Facebook hesaplarını nasıl hackleyebileceğinizi adım adım anlatıyorlar!  Ya da tuzağa düşenler öyle zannediyor.
Araştırmacıların ortaya koydukları gibi, bu adımları takip ederek aslında kendi hesabınızı hackliyorsunuz.

Arkadaşınızın Facebook hesabını hacklemeyi düşünerek internet tarayıcınızın (Explorer, Chrome veya Firefox) adres çubuğuna yapıştırdığınız kod aslında kendi hesabınız üzerinizden bazı işlemler gerçekleştiriyor.

Aşağıdaki resimde görüldüğü üzere, bilginiz dışında bazı sayfaları takip ediyor ve beğeniyorsunuz.
Saldırganların yönlendirmesi ile yazdığınız kod beğendiğiniz ve takip ettiğiniz sayfalarda arkadaşlarınızı da etiketleyerek saldırının kendi arkadaşlarınız arasında da yayılmasına neden oluyor.



Bu saldırı “self-XSS” (kullanıcının kendi kendine yaptığı bir zararlı kod çalıştırma saldırısı) 2011 yılından beri çeşitli kılıflar altında yayılıyor. Saldırganlar genellikle başka hesaplara izinsiz erişim sağlama veya yönetici yetkisi elde etme gibi vaatlerle insanları bu kodu yapıştırmaya ikna ediyor. Saldırılar o kadar yaygınlaştı ki, Facebook bu konuda ek güvenlik önlemleri almak zorunda kalmıştır. https://www.facebook.com/selfxss adresinde görüldüğü gibi Facebook çoğu tarayıcının JavaScript çalıştırma kabiliyetlerini devre dışı bırakmıştır.

2-3 ay önce görülen bu saldırılardan birinin kodunu aşağıda paylaşıyorum, dikkatinizi çeken bir şey var mı?



“Arkadaşları Al” fonksiyonu ve "yorum_yap" dikkatinizi çekmiştir, bundan da anlaşılacağı gibi saldırganlar büyük olasılıkla Türk.

Facebook’ta yetki yükseltme ve hesap görüntüleme saldırılarının başarı oranının yüksek olduğu ülkelerin başında Türkiye ve Hindistan geliyor.

Bu tür saldırılara kurban gitmemek için sosyal medya kullanırken tedbiri elden bırakmamak gerekir. 

Kendinize soracağınız 2 basit soru bu tür saldırılara kurban gitmemenizi sağlayabilir;

Bunu gerçek hayatta yapar mıydım? 
Gerçek hayatta size “Birinin ev anahtarını buldum, gel o evde değilken evine girip karıştıralım” desem bunu kabul eder miydiniz?

Bu gerçek olabilir mi?

Haydi ama, ortalıkta benim gibiler varken, Facebook gibi bir sayfa bile “kopyala-yapıştır” ile hacklenebiliyor olsa sizce bankada paranız kalır mıydı? J

Tuesday, March 4, 2014

Ücretsiz eğitim: Sosyal Mühendislik

Geçen sene pek çok üniversitede ücretsiz olarak verdiğim Siber Güvenlik ve Hacking konulu eğitimin devamı olarak bu sene davet eden Üniversitelere aşağıdaki eğitimi ücretsiz vereceğim. 

Geçen seneki eğitim daha ziyade Mühendislik bölümlerinin öğrencilerine yönelikti. Bu seneki ise Satış, Pazarlama veya Reklamcılık gibi alanlarda çalışmayı düşünen veya satış ve ikna gibi temel becerileri kazanmayı dileyen herkesin işine yaracak bir eğitimdir.

Dolandırılıcık tarihin en "başarılı" örneklerinden biri olan Osman Ziya Sülün (nam-ı diğer Sülün Osman) mesleğinin zirvesindeyken. 

Siber saldırılarda kullanılan sosyal mühendislik yöntemlerinin yüzyıllardır süregelen dolandırıcılık tekniklerinden özünde farklı olmamasının nedeni insanlar arasındaki iletişimin doğasından kaynaklanmaktadır. Aslında, reklam kampanyalarında veya satış toplantılarının en ateşli pazarlık bölümlerinde kullanılan yöntemler de bunlardan farklı değildir. Bu bakış açısıyla hazırlanan eğitim katılanlara iş ve özel yaşamlarında iletişimi kontrol altına almalarını sağlayacak bir temel vermeyi amaçlamaktadır. 

Eğitimin İçeriği:
  • Dolandırıcılığın kısa tarihi
  • Önemli dolandırıcılar ve yöntemleri
  • Sosyal mühendislik temelleri
  • Örnek olaylarla sosyal mühendislik saldırıları
  • İnsan ve iletişimin doğası
  • İnsanları etkilemek için kullanılan yöntemler
  • Satış kapatmak için sosyal mühendislik
  • Sosyal ilişkileri iyileştirmek için sosyal mühendislik (5 adımda kız tavlama sanatı)
  • Reklam ve marka iletişimde sosyal mühendislik
  • Beden dili ve sözlü olmayan iletişim
  • İletişimde yalanı yakalamak
  • Müzakere (pazarlık) teknikleri 
  • Hayatınızı kolaylaştıracak bazı sosyal mühendislik teknikleri


Eğitim süresi: Yaklaşık 4 saat




Saturday, February 9, 2013

"Minimum maaş ?"

İnsanlara "malware", "spyware", "adware" ve türevlerini anlatırken nedense bakışlarındaki "o işler Türkiye'de olmaz cankuş" havasını dağıtmakta çok zorlanıyorum. Örnekleri yurtdışından verince ister istemez bu konularla uğraşanların ülkemizdeki internet kullanıcılarına musallat olmadığı fikri pekişiyor olabilir.

O zaman size Türk internet kullanıcıları da düşünülerek tasarlanmış "URAUSY" ransomware'ini tanıtayım.

Ransomware?
Ransomware ingilizce "ransom" (fidye) ve "software" (yazılım) sözcüklerinden türetilmiştir. Ransomware "sektöründe" yaşanan hızlı gelişme ile bu yazılımlar "scareware" (korkutma yazılımı) olarak da işlevsellik kazanmışlardır.
Bu zararlı yazılımlar iki farklı yoldan sizden para sızdırmayı amaçlamaktadır; verilerinizi rehin alarak veya sizi korkutarak.
Verilerin rehin alınması senaryosunda yazılım bulaştığı sistemdeki verileri şifreleyerek kullanıcı tarafından ulaşılamaz/kullanılamaz hale gelmesine yol açar. Şifreyi çözmeye yarayan parola ise para karşılığında kurbana satılır. Paranın (fidyenin) ödenmemesi halinde ele geçirilen verilerin internet üzerinden açıklanacağı gibi çeşitli tehdit yöntemlerinin kullanıldığı da görülmüştür.
Kurbanı korkutmayı amaçlayan yazılımların kullanıldığı saldırıların ise sosyal mühendislik yönü biraz daha ağır basmaktadır. Aşağıdaki ekran görüntüsüne bakacak olursak:

Yakalandınız!
Bilgisayarınızda korsan müzik veya film bulunduğunu tespit eden Emniyet Genel Müdürlüğü sizi yakaladı. İşlediğini bu suç nedeniyle de bilgisayarınızı blokladı.
Üstelik sadece Emniyet Genel Müdürlüğü değil, EuroPol da işin içinde.
Türlü suçlardan birini işlediğiniz için "ölümlerden ölüm beğen" şeklinde yazılmış, yüzbinlerce lira ceza ödeyebileceğiniz ve yıllarınızı cezaevine geçirebileceğinizi anlatan uzunca bir yazı var.
Neyse ki iyi kalpli emniyet güçleri sizi mağdur etmemek adına 72 saat içerisinde 200TL ödemeniz halinde suçlamalardan vazgeçmeye hazır.

Sakin kafayla okunduğunda çok etkili olmasa bile uzun bir torrent seansının sonuna denk gelmesi halinde bu sayfa gerçekten etkili olabilir.

Neyse ki dikkatli bakıldığında sayfada önemli Türkçe hataları göze çarpmaktadır. Asgari ücret yerine "minimum maaş" kullanılması bile bu yazıyı yazan emniyet genel müdürlüğü'nün Türk olmadığını gösteriyor aslında.
Ayrıca "Kişiliğiniz ve adresiniz şu anda tespit ediliyor" cümlesi de emniyet güçlerinin teknolojik olarak ulaştıkları son noktayı göstermektedir. Kişiliğimi öğrenmek için eşim yıllarını harcadı, Europol ise bu işi internet üzerinden birkaç saniyede yapabiliyor... Bizim hanım biraz geç mi öğreniyor ne? :)

Yazıda belirtilen TCK 128, 202, 208, 210 ve 212. maddeler ise savunma dokunulmazlığı, belgede sahtecilik ve rüşvet gibi alakasız suçlara ilişkindir.

Türkçe sürümünün dışında birkaç farklı ülkeden örnek vermek gerekirse;

Avustralya: Para birimi Avustralya Doları, Avustralya Federal Polisi ve ICSPA (Avrupa dışındaki ülkelerde Europol yerine bunu kullanmışlar)

Hırvatistan: Benzer şekilde "yerelleştirilmiş"

Zararlının görüldüğü ülkeler ve kullanılan emniyet birimlerine ait bannerler 

Türkçe hatalarıyla dolu olması bir yana bu tehdit gerçektir ve ciddiye alınmalıdır.

Nasıl engellenir?
Bütün zararlı yazılımlar için geçerli güvenlik kuralları bu zararlı için de geçerlidir.
Lisanslı işletim sistemi kullanın
İşletim sistemini güncel tutun
Lisanssız yazılım kullanmayın
Korsan müzik veya film indirmeyin
"P2P sharing" olarak da adlandırılan ve bilgisayarlar arasında dosya tranferine imkan veren yazılımlar kullanmayın
Antivirüs kullanın ve güncel tutun

Wednesday, January 30, 2013

Yalancı üretici sendromu

Temelde iki tür güvenlik cihazı üreticisi olduğuna inanıyorum; “Bizim ürünümüz olsaydı YÖK hacklenmezdi” diyebilenler ve diyemeyenler J

Bu cümleyi gerçekten bir üreticinin sunumunda aldım ve söyleyen kişinin bilgi güvenliği konularına ne kadar uzak olduğuna hala inanmakta zorluk çekiyorum. Tek bir cihazla her hangi bir koruma sağlanabilseydi o cihaz dışındaki bütün üreticiler çoktan iflas etmiş olurdu. Ancak bu yaklaşım müşterileri kandırmaya yetiyor gibi gözüküyor. Üreticileri bir çeşit bilgi güvenliği danışmanı gibi gören müşteriler bu tür asılsız iddialar ışığında bazı yatırım kararları vermek zorunda kalıyor.
Güvenlik konularından biraz anlayan biri olarak şunu biliyorum ki bilgi güvenliği tek bir ürün veya olay olarak ele alınamaz. Bilgi sızmasına yol açacak basit bir saldırıyı ele alırsak karşımıza şu aşamalar çıkacaktır;
  1. Phishing maili
  2. Zararlı yazılımı barındıran sayfanın kullanıcı tarafından ziyaret edilmesi veya zararlı yazılımı içeren eposta ekinin açılması
  3. Zararlı yazılımın yüklenmesi ve dışarıyla iletişime geçmesi
  4. Kullanıcının bilgisayarının ele geçirilmesi
  5. Ağdaki diğer bilgisayarlara ve/veya sunuculara sızılması
  6. Bu bilgisayarlardan veya sunuculardan elde edilen bilgilerin sızdırılması
En basit haliyle 6 aşaması olan bir saldırıyı tek bir noktaya konumlandırdıkları bir cihazla nasıl önleyebileceklerini anlatmak isteyen üreticileri her zaman heyecanla dinlemeye hazırım.
Siber güvenlik olaylarının veya siber saldırıların tek bir olay değil, olaylar dizisi olduğunu anlayacak kadar bilinçli olan üreticiler de var tabii, Allah hepimizi böyle üreticilerle karşılaştırsın J

Bilgi güvenliği yatırımlarını değerlendirirken bu siber saldırıların tek bir olaydan ibaret olmadığını hatırlamak ve her aşamaya mümkün olduğunca hizmet edecek şekilde yatırım yapmak önemlidir.
Firewall örneği

Müşteri tarafında gördüğüm çoğu firewall dışarıdan içeriye doğru istenmeyen trafiği önleyecek şekilde konumlandırılmaktadır. Bu noktada önerim içeriden dışarıya doğru da yapılabilecek trafiği engelleyecek kuralların mutlaka yazılmasıdır.

Diyelim ki ağızı kalabalık bir üretici sizi IPS’e ihtiyacınız olduğu konusunda ikna etti. Kuracağınız bu ikinci savunma hattı aslında ilkinden farklı bir amaca hizmet ediyor olmayacaktır, dışarıdan içeriye gelen saldırıları engelleyecektir.
Bu durumda 2 birim yatırım yapıp kendimizi sadece dışarıdan gelen saldırılara karşı korumuş olacağız. “Bunun nesi kötü?” diye soranlara hemen anlatayım. Bir saldırgan bu iki savunma hattını atlatıp içeri sızarsa içerideki davranışlarını tespit edecek bir yatırımınız ne yazık ki yok.

Bir önceki yazımda da ele aldığım “saldırı sırası” bu senaryoda da karşılıksız kalmaktadır.
Yalancı üretici sendromu

Bir hastalık olsa adına “Yalancı Üretici Sendromu” diyebileceğimiz, güvenlik yatırımlarını üreticilerin sizi korkuttuğu doğrultuda yapma alışkanlığına karşı önerebileceğim en basit reçete kağıt ve kalemdir.
Önünüze bir kağıt alıp aşağıdaki şekilde; saldırı öncesi, saldırı sırası ve saldırı sonrası başlıklarıyla 3 eşit sütuna bölebilirsiniz;
"Basit iyidir"


Mevcut güvenlik yatırımlarınızı uygun sütuna yerleştirince ortaya çıkan tablo size paranızı nereye harcadığınızı ve hangi alanlarda eksik kaldığınızı açıkça gösterecektir.

 Saldırı sırasında ne yapacağız?

"Log çözümümüz var ya la amcamın oğlu" (Bkz. işler güçler)
 
Forensic çözümleri saldırı sonrası için önemli bilgiler verebilir.
 
Olay sonrası müdahale uzmanlık ve görece daha fazla yatırım gerektirse bile en azında birilerinin ağınıza sızdığını anlayabilmenizi sağlayacak bir olay ve log gözlemleme yatırımı düşünülmelidir. Log toplayacak çözümün akla gelen her olayın logunu toplamak yerine gerekli uyarıları iletebilecek şekilde konumlandırılması önemlidir. Örneğin “192.10.2.23 IP’li makine RDP yapıyor” benzeri loglar saldırı sırasında bize gerekli uyarıları verecek loglara örnek olabilir.
DUNE benzeri strateji oyunlarını hatırlayın. Elimizde bir miktar para/cevher olurdu ve bunlarla hangi tür binaları yapacağımıza ve nasıl askerler yetiştireceğimize karar verirdik. Büyüdük ve artık bu kararları network düzeyinde vermemiz gerektiği günlere geldik. Kısaca; bütün paranızı asker yapmaya harcamayın, birazıyla da cevher çıkartın :)

 

MITRE ATT&CK Gerçek Hayatta Ne İşimize Yarar?

  Rusya kaynaklı siber saldırılar webinarı sırasında üzerinde durduğum önemli bir çalışma vardı. MITRE ATT&CK matrisini ele alıp hangi...